Arion Kurtaj aus Oxford ist Autist und gilt als eines der wichtigsten Mitglieder der internationalen Hackerbande Lapsus$. Angriffe auf Tech-Unternehmen wie Uber, Nvidia und Rockstar Games sollen auf das Konto der Gruppe gehen. Diese sollen insgesamt einen Schaden von fast zehn Millionen US-Dollar verursacht haben. Nun hat ein britisches Gericht den 18-jährigen Autisten zu einem lebenslangen Aufenthalt in einem pychiatrischen Krankenhaus verurteilt.
Der Richter war der Ansicht, dass Kurtajs Fähigkeiten ein hohes Risiko für die Öffentlichkeit darstellten. Zudem habe Kurtaj nach wie vor den Wunsch, Cybercrime zu begehen. Er wird deshalb lebenslang in einer forensichen Psychiatrie bleiben müssen, zumindest aber so lange, bis die Ärzte ihn als ungefährlich einstufen.
Eigentlich sollte die Jury nur feststellen, ob Kurtaj aufgrund seines Autismus überhaupt verhandlungsfähig sei und ob er die Taten in krimineller Absicht begangen habe. In einem psychiatrischen Gutachten, das bei der Urteilsverkündung vorgelegt wurde, heißt es, er habe "weiterhin die Absicht geäußert, so bald wie möglich zur Internetkriminalität zurückzukehren. Er ist hochmotiviert", berichtet die BBC.
Hack mit Smart TV, Handy und TV-Stick
Doch mit der gerichtlichen Nachsicht war es schnell vorbei, als Kurtaj sein größter Coup gelang – und das, obwohl er schon längst unter polizeilicher Aufsicht stand. Der 18-Jährige war auf Kaution frei, nachdem er Hackerangriffe auf Nvidia und die BT-Group begangen haben soll. Kurtaj lebte unter Polizeischutz in einem Hotel, sein Laptop wurde ihm abgenommen. Dennoch gelang des dem 18-Jährigen, in die Systeme von Spielehersteller Rockstar Games einzudringen – und zwar mit einem Fire-TV-Stick, dem Hotelfernseher und seinem Smartphone.
Kurtaj stahl daraufhin 90 Clips des heißerwarteten Spiels "Grand Theft Auto VI". Er konnte auch in das interne Abstimmungstool Slack von Rockstar eindringen und erklärte: "Wenn Rockstar mich nicht innerhalb von 24 Stunden über Telegram kontaktiert, werde ich den Quellcode veröffentlichen." Anschließend postete er die Clips und den Quellcode in einem Forum unter dem Benutzernamen TeaPotUberHacker. Kurtaj wurde daraufhin erneut festgenommen und bis zu seinem Prozess inhaftiert.
In der Haft soll der 18-Jährige gewalttätig geworden sein und mehrere Personen verletzt haben, zudem sollen dutzende Sachbeschädigungen dazugekommen sein. Richterin Paricia Lees urteilte jetzt, dass Kurtaj in der Psychiatrie untergebracht werden soll, bis er als ungefährlich gilt. Ob dies je der Fall sein wird, erscheint zweifelhaft. Kurtaj hat mehrmals betont, dass er es nicht erwarten könne, wieder hacken zu dürfen.
Anfang des Monats wurde der Trailer zu "GTA 6" veröffentlicht, der in nur vier Tagen 128 Millionen Aufrufe auf Youtube verzeichnete. Bei der Urteilsverkündung argumentierte Kurtajs Verteidigung, dass der Erfolg des Spieletrailers darauf hindeute, dass Kurtajs Hack dem Spieleentwickler keinen ernsthaften Schaden zugefügt habe, und bat darum, dies bei der Urteilsfindung zu berücksichtigen. Allein, Rockstar Games gab vor Gericht an, dass der Hack das Unternehmen fünf Millionen Dollar gekostet habe.
Auch 17-Jähriger verurteilt
Ein weiteres 17-jähriges Mitglied von Lapsus$ wurde im selben Prozess für schuldig befunden. Der Teenager arbeitete mit Kurtaj und anderen Mitgliedern von Lapsus$ zusammen, um den Tech-Riesen Nvidia und die Telefongesellschaft BT/EE zu hacken und Daten zu stehlen, bevor er ein Lösegeld von vier Millionen Dollar forderte, das nicht gezahlt wurde. Sie stahlen auch direkt von Einzelpersonen über deren Kryptowährungs-Geldbörsen. Neben den Hacking-Delikten wurde der Jugendliche auch für das verurteilt, was die Richterin als "unangenehmes und beängstigendes Muster von Stalking und Belästigung" von zwei jungen Frauen beschrieb. Der 17-Jährige wurde zu einer 18-monatigen Rehabilitationsmaßnahme für Jugendliche verurteilt, die eine intensive Überwachung und ein Verbot der Nutzung von VPNs im Internet beinhaltet.
Kurtaj und der 17-Jährige sind die ersten Mitglieder der Lapsus$-Gruppe, die vor Gericht standen. Die Gruppe dürfte aus Mitgliedern aus dem Vereinigten Königreich sowie aus Brasilien bestehen. Bei der Bande soll es sich großteils um Teenager handeln, die sowohl Onlinebetrug als auch Cyberangriffe begehen. So soll die Gruppe auch für Angriffe auf Microsoft und die Onlinebank Revolut verantwortlich sein.
Wie viel Geld Lapsus$ mit diesen Cyberverbrechen verdient hat, ist unklar. Kein Unternehmen hat öffentlich zugegeben, Lösegeld an die Hacker bezahlt zu haben. (red, 22.12.2023)